Vous n’arrivez plus à vous connecter, vos contacts reçoivent des messages que vous n’avez pas écrits, ou une alerte vous signale une connexion depuis l’étranger. La panique est mauvaise conseillère : ce qui compte ici, c’est l’ordre dans lequel vous agissez.

Si votre ordinateur ou votre téléphone est peut-être infecté, tout ce que vous ferez depuis lui sera capté au fur et à mesure. Faites la suite depuis un appareil dont vous êtes sûr : le smartphone d’un proche, une tablette qui ne sert qu’à la maison, un ordinateur du travail.

C’est contre-intuitif, on a le réflexe de se précipiter sur la machine qu’on connaît. C’est précisément celle qu’il faut laisser de côté tant qu’elle n’a pas été vérifiée.

Tous vos comptes ne se valent pas. Votre boîte mail est le trousseau de clés : celui qui la contrôle peut réinitialiser presque tout le reste. On commence donc toujours par elle.

1. Boîte mail principale : nouveau mot de passe, déconnexion de toutes les sessions, double authentification activée.
2. Gestionnaire de mots de passe, si vous en utilisez un.
3. Banque et applications bancaires.
4. Comptes cloud : Google, Apple ou iCloud, Microsoft.
5. Réseaux sociaux et messageries : ils servent à usurper votre identité auprès de vos proches.
6. Sites marchands où une carte bancaire est enregistrée.

Pour chacun : un mot de passe unique, la déconnexion des sessions ouvertes, la double authentification, et une vérification qu’aucune règle de transfert automatique n’a été ajoutée à votre messagerie. Ce dernier point est souvent oublié : c’est ainsi qu’un intrus continue de lire vos mails longtemps après votre changement de mot de passe.

Regardez l’historique de sécurité de votre compte (côté Microsoft dans l’activité récente, côté Google dans la section Sécurité puis vos appareils). Si vous y voyez des connexions réussies depuis plusieurs pays en peu de temps, cela ne veut pas dire que quelqu’un a deviné votre mot de passe.

Cela veut dire que des jetons de session ont été volés sur votre appareil. Ces jetons permettent de se connecter sans mot de passe, et en contournant la double authentification. D’où la règle : après le nouveau mot de passe, il faut impérativement déconnecter toutes les sessions, puis réactiver la double authentification.

Pensez à enregistrer cet historique en PDF tout de suite : il n’est conservé qu’une trentaine de jours et c’est une pièce utile pour votre plainte.

Quand plusieurs comptes basculent en même temps, que votre boîte mail se verrouille et que vos proches reçoivent des appels à votre nom, ce n’est plus du hasard : quelqu’un cherche à vous couper de vos moyens de réaction.

• Appelez votre banque au numéro figurant au dos de votre carte, pour signaler la situation et faire surveiller les mouvements.
• Prévenez vos proches que des messages ou des appels en votre nom peuvent être frauduleux.
• Si votre connexion internet est touchée elle aussi, contactez votre opérateur depuis un autre réseau.

Si votre espace de stockage contenait un RIB, une pièce d’identité ou des justificatifs, considérez ces documents comme copiés.

• RIB ou IBAN : surveillez vos relevés. Un prélèvement non autorisé se conteste auprès de la banque, avec un délai de 13 mois.
• Pièce d’identité : il y a un risque d’usurpation. Déposez plainte, le récépissé servira si une fraude est commise en votre nom, et restez attentif à tout courrier inattendu (crédit, abonnement, ligne mobile).

Et une règle définitive : ne stockez plus jamais de mots de passe dans un fichier texte ou un document du cloud. Un gestionnaire de mots de passe existe pour ça.

Quel que soit votre choix pour la partie technique, ces démarches valent la peine : elles alimentent les statistiques nationales, permettent parfois de bloquer un circuit, et constituent votre dossier.

• cybermalveillance.gouv.fr et le 17Cyber : le dispositif national d’assistance, gratuit, qui vous oriente.
• Pré-plainte en ligne puis dépôt en commissariat ou gendarmerie. Le récépissé vous sera demandé par la banque et par l’assurance.
• Signalement PHAROS pour les contenus et sites frauduleux.
• 33700 par SMS pour les SMS et appels frauduleux.